SSL/TLS & HTTPS im Onlineshop

Was passiert technisch bei HTTPS?

HTTPS ist HTTP, zusätzlich abgesichert über das TLS-Protokoll (den Nachfolger von SSL, der Name „SSL" hat sich im Sprachgebrauch trotzdem gehalten). Beim Verbindungsaufbau handeln Browser und Server zunächst über asymmetrische Verschlüsselung einen gemeinsamen Sitzungsschlüssel aus, mit dem anschließend die eigentliche Kommunikation symmetrisch — und damit deutlich schneller — verschlüsselt wird. Für den Shop-Betrieb wichtig sind vor allem die Konsequenzen: Ohne gültiges Zertifikat lässt sich weder eine vertrauenswürdige Verbindung aufbauen noch überhaupt eine Zahlung sauber abwickeln.

Zertifikatstypen: DV, OV und EV im Vergleich

Nicht jedes Zertifikat prüft gleich viel. Die drei gängigen Stufen unterscheiden sich im Prüfaufwand, nicht in der reinen Verschlüsselungsstärke:

Für die reine Verschlüsselung macht es keinen technischen Unterschied, welche Stufe verwendet wird — ein DV-Zertifikat verschlüsselt genauso stark wie ein EV-Zertifikat. Der Unterschied liegt im geprüften Vertrauensniveau und in Zusatzleistungen wie vertraglich zugesicherten Haftungssummen, die vor allem für Zahlungsdienstleister und größere B2B-Geschäftsbeziehungen relevant sein können.

Warum ist HTTPS für Onlineshops praktisch Pflicht?

Für Onlineshops kommen mehrere Zwänge zusammen, die HTTPS zur faktischen Grundvoraussetzung machen:

• Browser-Warnungen: Moderne Browser markieren unverschlüsselte Formulare und Login-Felder aktiv als „nicht sicher" — für einen Shop mit Login und Checkout ist das ein sofortiges Vertrauensproblem.
• Zahlungsabwicklung: Kartenzahlungsstandards und die meisten Payment-Service-Provider verlangen eine verschlüsselte Verbindung als technische Grundlage der Anbindung.
• Datenschutz: Personenbezogene Daten wie Adressen oder Zahlungsinformationen unverschlüsselt zu übertragen, widerspricht den Grundsätzen der DSGVO zur angemessenen technischen Absicherung.
• Kundenvertrauen: Das Schloss-Symbol in der Adresszeile ist für viele Käufer ein unbewusstes, aber wirksames Vertrauenssignal vor der Zahlungseingabe.

HTTPS und SEO

Google bestätigt HTTPS offiziell als Rankingsignal — allerdings als vergleichsweise schwaches im Vergleich zu Inhalt und Nutzererfahrung. Der eigentlich spürbare Effekt läuft indirekt: Eine Seite ohne HTTPS erzeugt Warnhinweise, die Nutzer abschrecken, was sich in schlechteren Verweildauer- und Absprungwerten niederschlägt — und diese Signale wirken sich stärker auf Sichtbarkeit und Rankings aus als das reine HTTPS-Bit selbst. Wer seine Onlineshop-SEO ernst nimmt, behandelt HTTPS deshalb als Grundvoraussetzung, nicht als Ranking-Hebel für sich genommen.

Die Mixed-Content-Falle

Mixed Content entsteht, wenn eine an sich verschlüsselte HTTPS-Seite einzelne Ressourcen weiterhin über das unverschlüsselte HTTP nachlädt — typischerweise Bilder, eingebettete Skripte von Drittanbietern oder alte, fest verlinkte Asset-URLs. Browser reagieren unterschiedlich: Aktive Inhalte wie Skripte werden meist automatisch blockiert, passive wie Bilder oft nur mit einer Warnung geladen. Für Shop-Betreiber ist das besonders tückisch nach einer Shop-Migration oder einem Relaunch, wenn alte Datenbankeinträge, Theme-Dateien oder Drittanbieter-Snippets noch feste HTTP-Links enthalten. Die zuverlässigste Gegenmaßnahme ist eine konsequente Umstellung auf protokollrelative oder rein HTTPS-Links im gesamten System, kombiniert mit einer Testphase, die aktiv nach Mixed-Content-Warnungen sucht, bevor der Shop live geht.

Zertifikate für mehrere Domains und Subshops

Betreibt ein Händler mehrere Domains oder Subshops — etwa im Rahmen eines Multishop-Setups —, reicht ein einzelnes Standardzertifikat oft nicht aus. Ein Wildcard-Zertifikat deckt eine Hauptdomain mit beliebigen Subdomains ab, ein Multi-Domain-Zertifikat (SAN) mehrere eigenständige Domains in einem einzigen Zertifikat. Welche Variante passt, hängt von der gewählten Struktur ab — ein guter Zeitpunkt, das zusammen mit dem Shop-Hosting und der Domainstrategie zu planen, statt es nachträglich zu flicken.

HSTS und Weiterleitungen sauber einrichten

Ein gültiges Zertifikat allein reicht nicht, wenn Nutzer weiterhin über alte HTTP-Links auf den Shop gelangen können. Zwei Bausteine gehören deshalb zu jeder sauberen HTTPS-Einrichtung dazu: Eine permanente Weiterleitung (301) von HTTP auf HTTPS auf Serverebene stellt sicher, dass jede alte Verlinkung, jeder Lesezeichen-Eintrag und jeder Kampagnenlink automatisch auf der verschlüsselten Version landet. Der HSTS-Header (HTTP Strict Transport Security) geht einen Schritt weiter und weist den Browser an, eine Domain für einen definierten Zeitraum ausschließlich über HTTPS aufzurufen — selbst wenn ein Nutzer versehentlich „http://" eintippt, wird gar nicht erst eine unverschlüsselte Verbindung versucht. Für Shops mit Subdomains lohnt sich dabei ein genauer Blick auf die HSTS-Konfiguration, weil eine zu weit gefasste Einstellung auch Subdomains erfasst, die möglicherweise noch nicht vollständig auf HTTPS vorbereitet sind.

Zertifikat einrichten: typischer Ablauf

In der Praxis läuft die Ersteinrichtung meist in dieser Reihenfolge ab:

1. Zertifikatstyp festlegen — für die meisten Shops reicht ein DV-Zertifikat, B2B- oder Payment-nahe Anwendungsfälle prüfen zusätzlich OV.
2. Domainstruktur klären — Einzeldomain, Wildcard für Subdomains oder Multi-Domain-Zertifikat für mehrere eigenständige Domains.
3. Ausstellung und Installation — häufig automatisiert über den Hoster, etwa via Let's Encrypt mit automatischer Verlängerung.
4. Weiterleitung und HSTS aktivieren — konsequente 301-Weiterleitung von HTTP auf HTTPS sowie ein passend konfigurierter HSTS-Header.
5. Mixed-Content-Check — die komplette Seite auf verbleibende unverschlüsselte Ressourcen prüfen, insbesondere nach einem Relaunch oder einer Migration.

Wird dieser letzte Schritt übersprungen, zeigt der Browser zwar ein Schloss-Symbol in der Adresszeile, einzelne Bilder, Skripte oder eingebundene Drittanbieter-Inhalte laufen aber trotzdem noch unverschlüsselt — ein Zustand, der auf den ersten Blick unauffällig wirkt, aber bei jeder weiteren Prüfung durch Browser oder Sicherheits-Scanner auffällt.

Typische Fehler rund um SSL/TLS

1. Auslaufendes Zertifikat unbemerkt — ohne automatische Verlängerung und Monitoring fällt ein abgelaufenes Zertifikat oft erst auf, wenn Kunden bereits eine Warnseite sehen.
2. Mixed Content nach Relaunch oder Migration — alte, hart verlinkte HTTP-Ressourcen bleiben im Theme oder in der Datenbank stehen.
3. Falscher Zertifikatstyp für die Zielgruppe gewählt — ein einfaches DV-Zertifikat reicht für die meisten Shops, in bestimmten B2B- oder Payment-Kontexten kann aber ein OV-Zertifikat sinnvoller sein.
4. Wildcard vergessen bei Subdomain-Wachstum — neue Subdomains (Blog, Shop-Ableger, Test-Umgebung) werden angelegt, ohne dass das Zertifikat sie mit abdeckt.
5. HTTPS nur auf der Startseite erzwungen — einzelne Unterseiten oder alte Kampagnenlinks bleiben versehentlich über HTTP erreichbar, statt konsequent weitergeleitet zu werden.

Eine saubere HTTPS-Umsetzung ist Grundvoraussetzung, bevor es an Performance oder Ranking-Feinschliff geht. Bei der technischen Einrichtung — von Zertifikatswahl bis Mixed-Content-Bereinigung — unterstützen wir im Rahmen der JTL-Shop-Einrichtung.